조직은 수십 개의 구독에서 비밀 관리를 표준화하고 있으며 Azure AD 그룹을 사용하여 중앙 집중식 역할 기반 제어를 원합니다. 보안팀은 또한 누구도 비밀이나 키를 영구적으로 삭제할 수 없도록 요구하며, 암호화 키의 하위 집합은 공유 서비스와 분리된 전용 FIPS 140-2 Level 3 유효성 검사 HSM 경계에 상주해야 한다고 요구합니다. 최소한의 운영 오버헤드로 모든 요구 사항을 충족하려면 무엇을 구현해야 합니까?

이 옵션은 모든 요구 사항을 충족합니다. Azure Key Vault에 Azure RBAC를 사용하면 Azure AD 그룹을 통한 중앙 집중식 역할 기반 제어가 가능하며, 여러 구독에서 비밀 관리를 표준화할 수 있습니다. 일시 삭제 및 제거 방지를 활성화하면 누구도 비밀이나 키를 영구적으로 삭제할 수 없습니다. 전용 HSM 격리가 필요한 키에 대해 Azure Managed HSM을 프로비저닝하면 FIPS 140-2 Level 3 유효성 검사 요구 사항을 충족합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. Key Vault 액세스 정책을 유지하는 것은 Azure AD 그룹을 통한 중앙 집중식 RBAC 요구 사항을 충족하지 않습니다. 일시 삭제만 활성화하면 제거 방지 요구 사항을 충족하지 못합니다. 일시 삭제를 비활성화하면 영구 삭제 방지 요구 사항을 충족하지 못합니다. 모든 비밀 및 인증서에 Managed HSM을 사용하는 것은 불필요하며 비용이 많이 들 수 있습니다. 리소스 잠금은 데이터 평면 액세스 제어를 제공하지 않으며, ARM RBAC는 Key Vault 데이터 평면 권한 부여에 직접 사용되지 않습니다. Key Vault 클래식 액세스 정책은 Azure AD 그룹을 통한 중앙 집중식 RBAC 요구 사항을 충족하지 않습니다. Premium Key Vault SKU는 FIPS 140-2 Level 3 HSM 격리 요구 사항을 충족하지 않습니다.